¿Basta con SPF para evitar la suplantación?

No. SPF comprueba el remitente oculto del sobre, no la dirección De que ve la gente. También necesitas DMARC, que vincula SPF y DKIM a la dirección De visible.

¿Cuánto tarda en aplicarse un cambio en mi registro SPF?

Normalmente de unos minutos a unas horas, según el TTL del registro. Vuelve a hacer la comprobación después del cambio.

¿Necesito SPF en un dominio que nunca envía correo?

Sí. Publica «v=spf1 -all» y un registro DMARC con p=reject, para que nadie pueda enviar correo en su nombre.

Verificador de registros SPF

Comprueba el registro SPF de cualquier dominio. Revisamos la sintaxis, contamos las consultas DNS frente al límite de 10 y te decimos exactamente qué cambiar. DKIM, DMARC y MTA-STS se comprueban en el mismo informe.

¿Qué es SPF?

SPF (Sender Policy Framework) es un registro TXT en tu DNS que indica qué servidores pueden enviar correo en nombre de tu dominio. Los servidores de correo receptores comparan el servidor que envía con esa lista. Un registro tiene este aspecto:

v=spf1 include:spf.protection.outlook.com include:_spf.google.com -all

Los errores de SPF más comunes

Dos registros SPF. Un dominio solo puede tener un registro que empiece por v=spf1. Con dos, los receptores consideran SPF roto. Únelos en uno.

Más de 10 consultas DNS. Cada include, a, mx y redirect cuesta una consulta, incluidas las que hay dentro de otros include. Por encima de 10, SPF falla. Elimina los servicios que ya no uses o pide a tu proveedor un include «aplanado».

+all al final. Permite que cualquier servidor del mundo envíe correo como si fueras tú. Usa -all (rechazar) o ~all (fallo suave).

Olvidar un remitente. Los boletines, el software de facturación y el formulario de contacto de tu web suelen enviar correos en tu nombre. Añade cada uno de ellos o su correo acabará en spam.

¿~all o -all?

~all pide a los receptores que acepten pero marquen el correo de otros servidores; -all les pide que lo rechacen. Con DMARC activo, la diferencia es pequeña, porque es DMARC quien decide qué pasa. Empieza con ~all y cambia a -all cuando conozcas todos tus remitentes.

Preguntas

¿Basta con SPF para evitar la suplantación?: No. SPF comprueba el remitente oculto del sobre, no la dirección De que ve la gente. También necesitas DMARC, que vincula SPF y DKIM a la dirección De visible.
¿Cuánto tarda en aplicarse un cambio en mi registro SPF?: Normalmente de unos minutos a unas horas, según el TTL del registro. Vuelve a hacer la comprobación después del cambio.
¿Necesito SPF en un dominio que nunca envía correo?: Sí. Publica «v=spf1 -all» y un registro DMARC con p=reject, para que nadie pueda enviar correo en su nombre.

OZAG Technologies · KVK 42167370 · Laan van Oversteen 20, 2289 CX Rijswijk · +31 6 24496620 · support@ozagsecurity.com